Jeg har set, at websteder automatisk omdanner HTTP-anmodninger til HTTPS uden HTTP Strict Transport Security (HSTS) header.
Så lindrer følgende linje i anmodningen behovet for HSTS fuldt ud?
Content-Security-Policy: upgrade-insecure-anmodninger;
Fra MDN:
Direktivet
upgrade-insecure-requestssikrer ikke, at brugere, der besøger dit websted via links på tredje- festwebsteder opgraderes til HTTPS til topniveaunavigation og erstatter således ikke HSTS-overskriften (Strict-Transport-Security), som stadig skal indstilles med en passende maksimal alder for at sikre, at brugerne ikke er underlagt SSL-stripping angreb.
upgrade-insecure-anmodninger opgraderer enhver http-anmodning til https, når siden indlæses via https. Dette hjælper med at undgå problem med blandet indhold, men tvinger ikke siden til at blive indlæst via sikkert skema.
Flere detaljer kan findes på https://scotthelme.co.uk/migrating-from- http-til-https-lette-smerten-med-csp-og-hsts /
De gør forskellige ting. Content-Security-Policy: upgrade-insecure-anmodninger påvirker din sides ressourcer til en enkelt session, inklusive ting, der er knyttet til på andre domæner. HSTS påvirker dit eget domæne, og din browser husker det.